Үндсэн түлхүүргүйгээр VPN гэрчилгээ олгохыг шилжүүлэх
Гэрчилгээ олгох нь зөвшөөрөл; үндсэн түлхүүрийг эзэмших нь чадвар. Завсрын гэрчилгээ эхнийхийг хязгаарладаг бөгөөд бүртгэл устгах нь зөрчил биш.
Хэн нэгэнд VPN клиентүүдийг бүртгэх чадвар өгөх, түүнд үндсэн түлхүүрийн зөөврийн хуулбарыг өгөх нь хоёр өөр үйлдэл бөгөөд ялгаа нь тэр хүн явах эсвэл тэр түлхүүр алдагдах үед л илэрдэг. Эхнийх нь таны хянадаг ажлын урсгал доторх үйлдэл өгдөг; хоёрдах нь хаана ч, офлайн, хязгааргүй хугацаагаар итгэл үүсгэх чадварыг өгдөг. Ямар нэг түлхүүрийн материалд хүрэхээс өмнө ажилд аль нь хэрэгтэйг шийдээрэй. Шатлалын диаграм энэ асуултад таны оронд хариулахгүй.
Бүртгэлийн ажлыг гурван асуулт болгон бичээрэй: хэн хүсэлт гаргаж болох, хэн зөвшөөрөх, олгож буй бүрэлдэхүүн юунд гарын үсэг зурж болох.
Та ямар чадвар өгч байгаагаа шийдээрэй
Олгож буй үйлчилгээ нь зөвшөөрлийн ажлын урсгалыг ил гаргаж, гарын үсгийн материалыг тусдаа эзэмшигчид хадгалж болно. Оператор төхөөрөмжийн хүсэлтийг зөвшөөрч, үйлчилгээ бодлогыг хэрэгжүүлж, олголтыг бүртгэдэг бөгөөд оролцсон хэн ч CA түлхүүрийг эзэмшдэггүй. Зөвшөөрөгдсөн таних мэдээлэл, зөвшөөрөгчид, үйлчилгээний гарын үсэг зурж болох хүрээг баримтжуулж, дараа нь түүний удирдлагыг түлхүүр шигээ болгоомжтой хамгаалаарай. Гэрчилгээний гарын үсэгийн хүсэлт бол хүсэлт, зөвшөөрлийн шийдвэр биш.
Техник хангамжаар дэмжигдсэн хадгалалт түлхүүр хуулагдах эрсдэлийг өөрчилдөг, зөвшөөрлийн хэрэгцээг биш. Экспортлох боломжгүй гэдэг нь түлхүүрийг гаргаж авах боломжгүй гэсэн үг бөгөөд гарын үсэгийн интерфэйсийг дуудаж чадах хэн бүхэн гэрчилгээ авах эрхтэй гэсэн үг биш. Энэ хоёр шинж чанарыг тусад нь үнэлээрэй.
Завсрын гэрчилгээ эрх мэдлийг хязгаарладаг
Үндсэн гэрчилгээ өдөр тутмын олголтын хувьд завсрын гэрчилгээг баталгаажуулж болно, тиймээс ерөнхий ажил үндсэн түлхүүрт хүрэхээ болино, үндсэн гэрчилгээний өөрийн гарын үсэг, сэргээх журам хамгаалагдсан хэвээр байвал. Энэ нь бодит хил бөгөөд үнэгүй биш: өщөө нэг гэрчилгээ, өщөө нэг түлхүүр, өщөө нэг шинэчлэл, засварлахад өщөө нэг хүчингүй болгох жагсаалт. Үүнийг санаатай удирдлагын эсвэл эрсдэлийн хил болгон илэрхийлж байгаа үед ашиглаарай. Администратор бүрт олгогч үүсгэх нь бүх зүйлээс илүү болгодог бөгөӤд ажлын урсгал өмнө нь өгөөгүй зүйлийг худалдаж авдаггүй.
VPN баталгаажуулагчид гинжийг таны хүлээж байгаагаар бүтээж байгаа эсэхийг шалгаарай. Гинж бүтээхэд завсрын гэрчилгээ илгээх, түүнийг шууд итгэмжлэгдсэн зангуу болгон суулгах нь өөр өөр зохион байгуулалт юм.
pathLen тэг гэдэг нь таны бодож байгаа зүйл биш
RFC 5280 4.2.1.9 хэсэг үндсэн хязгаарлалтыг тодорхойлдог бөгөӤд түүний зам-уртын талбар нь хүчинтэй замд хэдэн өөрөө олгогдоогүй завсрын гэрчилгээ дагаж болохыг хязгаарладаг. Тэг утга нь цаашдын завсрын гүнийг хязгаарладаг; энэ нь эцсийн субъектийн гэрчилгээний тоог хязгаарладаггүй. Хүмүүс үүнийг тэг гэрчилгээ зөвшөөрөгдсөн гэж уншиж, дараа нь олголт яагаад ажилласаар байгааг гайхадаг. Талбарыг CA-д зориулсан гүний хязгаар гэж уншаарай, зан төлөв урьдчилан таамаглагдах болно.
Мөн хэсэг нь итгэлийн зангуу нь замын баталгаажуулалтын оролт бөгөӤд зам доторх энгийн гэрчилгээ биш гэдгийг илэрхийлдэг. Тиймээс өөрөө гарын үсэг зурсан үндэст хүчингүй болгох бичлэг нийтлэх нь түүнийг бүх сангаас найдвартай устгадаггүй.
Ажлаас гарах нь түлхүүрийн зөрчил биш
Хэрэв явж буй хүн зөвхөн хувийн удирдлагын бүртгэл эзэмшиж байсан бол тэр нэвтрэх эрх болон түүний сессийг дэмжигдсэн таних уйл явцаар цуцалж, дараа нь түүний үүсгэсэн үйл ажиллагаа, зөвшөөрлийг хянаарай. Өмнө олгосон клиентийн гэрчилгээ нь тэдний зөвшөөрөгч явсаны учраас хүчингүй болдоггүй бөгөӤд тэдгээрийг зөрчил гэж үзэх нь том, шаардлагагүй дахин бүртгэл үүсгэдэг. Бүртгэлийг идэвхгүй болгох нь хуулсан гарын үсэгийн түлхүүрийг ч хүчингүй болгож чадахгүй тул хариу үйлдэл нь ямар чадвар эзэмшиж байснаас хамаарана.
Завсрын гэрчилгээ зөрчигдсөн үед түүний зөвшөөрлийг буцааж, түүний баталгаа болсон таних мэдээл бүрийг солих шаардлагатай бөгөӤд баталгаажуулагчийн хэрэгжүүлдэг бодлогыг дагана. Үндсэн итгэл өөрийн хариу үйлдлийг шаардаг учир нь зангуу нь та хянаж чадахгүй байж болох итгэлийн санд амьдрадаг.
Дизайныг дөрвөн тодорхой тохиолдлын хамт хүлээн авна уу: тохирох төхөөрөмж бүртгүүлнэ, зөвшөөрөөгүй хүсэлт татгалзагдана, хасагдсан оператор цаашид олгож чадахгүй, тэтгэвэрт гарсан олгогч цаашид нэвтрэх эрх өгөхгүй. Эдгээр дөрвөн үр дүн нь runbook.